CapordiaНазначьте ответственных до выдачи доступов
Различайте ответственного за дело об аренде, того, кто разрешает доступ к проекту, и того, кто может применять технические изменения на целевой системе. Ответственному за результаты не обязательно нужно запускать процессы или администрировать машину. Опишите требуемые операции до выбора прав: чтение экспорта, размещение входных данных, выполнение задачи или изменение окружения.
Затем проверьте периметр фактически выданных доступов. Если вы не обладаете правом создавать идентичности или настраивать разрешения, добейтесь подтверждения возможной процедуры, прежде чем приглашать других участников. Не обходите это ограничение, раздавая пароль от аккаунта Capordia. Разделение работы и управление коммерческим делом — это два разных вопроса.
Использовать индивидуальную учётную запись и понимать её область действия
Индивидуальная учётная запись позволяет отозвать доступ у одного человека, не меняя доступ всей команды. В организации SSH по ключам OpenSSH различает открытый ключ, известный серверу, и закрытый ключ, хранящийся у пользователя. В координационном документе может быть ссылка или отпечаток открытого ключа; он никогда не должен содержать закрытый ключ или его парольную фразу.
Два разных ключа, дающих доступ к одной и той же системной учётной записи, не создают автоматически две разные области файлов. Права зависят от учётной записи и механизмов, настроенных на машине. Поэтому решите, относится ли требование только к индивидуальной аутентификации или также к разделению действий. Для автоматизаций предусмотрите явную учётную запись и владельца, не заимствуя скрытно личную учётную запись коллеги.
Проверьте цель, прежде чем предъявлять ей учётные данные
При первом доступе проверьте имя машины, ожидаемую учётную запись и отпечаток её ключа узла по доверенному источнику, полученному в процессе выдачи доступов. Этот ключ узла идентифицирует сервер; он отличается от вашего пользовательского ключа. Неожиданное сообщение об изменении идентичности сервера заслуживает проверки, а не автоматического удаления известного источника.
OpenSSH хранит ключи узлов и сообщает об их изменениях. Используйте эту информацию с учётом контекста: объявленная пересборка машины, изменённый адрес или необъяснимое событие. Подтвердите изменение, прежде чем продолжать, если оно не ожидается. Цель не в том, чтобы добавлять ритуал при каждом подключении, а в том, чтобы не воспринимать предупреждение об идентичности как простое неудобство отображения.
Вымышленный пример: три участника, три потребности
Вымышленная команда «Dossier des ouvrages» готовится к рабочей неделе. Идрисс выполняет обработку проекта A, Ноэми проверяет выгрузки, а Саша временно участвует в настройке окружения. Команда хочет права из таблицы, но должна проверить, применимы ли они к реально выданной системе. Речь идёт не о существующих клиентских учётных записях и не о функциях управления командой, анонсированных Capordia.
Решающий принцип в том, что Ноэми не получает административный доступ, чтобы открыть результат, а участие Саши имеет завершение. Одно лишь человеческое одобрение не настраивает никаких прав: технический руководитель применяет доступные механизмы, затем каждый выполняет предусмотренные проверки. Если желаемое разделение неосуществимо, проект должен адаптировать свою организацию, прежде чем вводить данные, требующие такого разделения.
| Участник | Потребность | Желаемая область | Пересмотр |
|---|---|---|---|
| Идрисс, эксплуатация | Загружать входные данные и запускать проект A | Рабочее пространство A, без общего администрирования | Окончание кампании или смена роли |
| Ноэми, валидация | Читать выданные выгрузки | Отобранные результаты, без изменения входных данных | Окончание валидации |
| Саша, участие | Подготовить разрешённое окружение | Определённое и одобренное изменение | Сразу после завершения работы |
Подготовьте карточку доступа и проверьте границы
Карточка связывает человека или автоматизацию, техническую учётную запись, утверждающего, область, обоснование и срок. Храните ссылку на открытый ключ и процедуру отзыва, не сохраняя секреты. OpenSSH ssh-keygen позволяет вывести отпечаток открытого ключа: эта ссылка помогает указать нужный ключ при добавлении или удалении, не копируя его закрытую часть.
Проверьте разрешённое действие на синтетическом файле, а затем действие, намеренно выходящее за пределы области и предусмотренное как запрещённое. Для роли чтения открытие должно работать, а попытка контролируемого изменения должна быть отклонена. Не используйте реальные данные для проверки запрета на удаление. Проверьте также общие пути и назначение выходных данных, поскольку корректное право на папку не гарантирует все пути программы.
Спланируйте отзыв доступа и проверьте новое подключение
Инициируйте отзыв доступа по завершении работ, при уходе сотрудника или при подозрении на компрометацию. Ответственный определяет все затронутые разрешения, включая другие разрешённые пути доступа для той же учётной записи. Он применяет отзыв в соответствии с фактической конфигурацией. Директива RevokedKeys в OpenSSH — один из возможных механизмов среди документированных; не следует предполагать, что она активна на машине без проверки.
Затем убедитесь, что повторная аутентификация с удалённой учётной записью отклоняется, не удаляя при этом резервный доступ ответственного лица. Отдельно рассмотрите уже открытые сессии, текущие задачи и учётные записи автоматизации: отзыв разрешения и остановка активности — это разные решения. Если работа должна продолжиться, передайте ответственность за неё согласно согласованной процедуре, а не оставляйте учётную запись бесхозной.
Избегайте упрощений, которые мешают контролю
Общий закрытый ключ не позволяет определить, кто должен его заменить, и часто вынуждает проводить коллективную ротацию. Широкий доступ «на время» обычно сохраняется надолго, если никто не назначил дату его пересмотра. Учётная запись для проверки, используемая также для администрирования машины, затрудняет интерпретацию контроля разделения. Устраните эти проблемы в карточке доступа, прежде чем они станут зависимостью эксплуатации.
Также избегайте добавления пересылки агента, туннелей или исключений в доступе исключительно для обхода недиагностированной проблемы. Потребность в подключении и её ограничения должен описать уполномоченный ответственный. Это руководство не предлагает универсальной конфигурации сервера: механизмы зависят от выданных прав, окружения и требований проекта. Общая документация не заменяет проверку на конкретной цели.
Передать организацию доступа, которая остаётся проверяемой
При приёмке соберите утверждённую матрицу, активные учётные записи, разрешённые и запрещённые тесты, сроки и контакт человека, способного отозвать доступ. Убедитесь, что отсутствующего сотрудника можно заменить без передачи его секрета. Непрерывность опирается на процедуру и уполномоченного резервного ответственного, а не на пароль, переданный в папке проекта.
При передаче дел пересмотрите ставшие ненужными доступы и автоматизации, зависящие от личной учётной записи. Если неожиданный отказ блокирует работу, составьте адресное обращение об инциденте с указанием технической учётной записи, затронутого пути и очищенного от секретов текста ошибки. Не добавляйте общих прав только ради устранения симптома. Правильное закрытие — это необходимый, проверенный доступ с известным сроком окончания.
Вопросы для принятия решения
Следует ли делить учётную запись Capordia между всеми исполнителями?
Нет. Учёт аренды и технический доступ к работе должны быть организованы раздельно. Определите возможные учётные записи машин с фактически выданными правами. Этот метод не предполагает наличия системы приглашений или командных ролей в пространстве Capordia.
Даёт ли открытый ключ автоматически нужные права?
Нет. Он служит для аутентификации, когда разрешён; доступные действия зависят затем от учётной записи и системных разрешений. Проверьте на синтетических файлах разрешённое действие и действие, которое должно быть отклонено.
Что проверить после ухода исполнителя?
Отзовите его разрешения, проверьте отказ в новой аутентификации и изучите сессии, работы и автоматизации, всё ещё связанные с его учётной записью. Сохраните уполномоченного ответственного для восстановления доступа и сопровождения. Не делайте вывод об отзыве на основании одной лишь отмеченной галочки.